20 管理コンソールに対するシングル・サインオンの構成

この章では、管理コンソールに対するシングル・サインオン(SSO)を構成する方法を説明します。章タイトルでの管理コンソールは次を指します。

• Oracle Enterprise Manager Fusion Middleware Control

• Oracle WebLogic Server管理コンソール

• Oracle Access Managerコンソール

• Oracle Identity Managerコンソール

• Oracle APMコンソール

• Oracle Adaptive Access Manager管理コンソール

この章の内容は次のとおりです。

• 第20.1項「Oracle Access Manager 11gによる管理コンソールのシングル・サインオンの構成」

• 第20.2項「IDM管理者グループのWebLogic管理グループへの割当て」

• 第20.3項「boot.propertiesファイルの更新」

• 第20.4項「サーバーの再起動」

• 第20.5項「Webゲートのインストールと構成」

20.1 Oracle Access Manager 11gによる管理コンソールのシングル・サインオンの構成

この項では、管理コンソールをシングル・サインオンと統合する方法を説明します。Oracle Access ManagerとOracle Identity Managerを統合している場合は、その統合コマンドによりセキュリティ・プロバイダが作成されるため、この項の手順を実行する必要はありません。

この項の内容は次のとおりです。

• 第20.1.1項「前提条件」

• 第20.1.2項「Oracle Directory認証プロバイダの作成」

• 第20.1.3項「Oracle Access Manager Identity Asserterの作成」

注意: 管理コンソールに対するシングル・サインオンを有効にしたら、コンソール・アクセスを可能にするために、1つ以上のOracle Access Managerサーバーが稼働していることを確認してください。 後でOAAMがドメイン全体を保護できるようにする場合や、OAAMをOracle Identity Managerと統合する場合は、コンソール・アクセスを可能にするために、OAAMサーバーも稼働させる必要があります。 Oracle WebLogicコンソールを使用してすべてのOracle Access Manager管理対象サーバーを停止した場合は、コンソールを再び使用する前に、これらの管理対象サーバーのいずれかを手動で再起動してください。 WLS_OAM1を手動で起動するには、次のコマンドを使用します。 DOMAIN_HOME/bin/startManagedWeblogic.sh WLS_OAM1 t3://ADMINVHN:7001

20.1.1 前提条件

管理コンソールをシングル・サインオンと統合する前に、次のタスクが完了していることを確認してください。

1. 第5章「Web層の構成」の説明に従ったOracle HTTP Serverの構成。

2. 第12章「Oracle Access Manager 11gでのドメインの拡張」の説明に従ったOracle Access Managerの構成。

3. 第11章「Oracle WebLogic Server用のユーザーとグループの作成」の説明に従った、LDAPでのWebLogic管理者のプロビジョニング。

20.1.2 Oracle Directory認証プロバイダの作成

この項では、ディレクトリ認証プロバイダを設定し、LDAPディレクトリでユーザーを使用して管理コンソールにアクセスできるようにします。

第19.1項「Oracle Identity ManagerとOracle Access Manager 11gの統合」で説明されているとおりにOracle Access ManagerとOracle Identity Managerを統合している場合は、これらの手順を実行する必要はありません。

1. http://admin.mycompany.com/consoleでWebLogic管理コンソールにログインします。

2. 「ドメイン」構造メニューで「セキュリティ・レルム」をクリックします。

3. 「チェンジ・センター」で「ロックして編集」をクリックします。

4. myrealmをクリックします。

5. 「プロバイダ」タブを選択します。

6. 「DefaultAuthenticator」をクリックします。

7. 「制御フラグ」を「SUFFICIENT」に設定します。

8. 「保存」をクリックします。

9. 「ドメイン」構造メニューで「セキュリティ・レルム」をクリックします。

10. myrealmをクリックします。

11. 「プロバイダ」タブを選択します。

12. 「新規」をクリックします。

13. Oracle Virtual Directoryを使用している場合は、次の情報を指定します。

    Oracle Virtual Directoryの場合:

    • 名前: OVDAuthenticator

    • タイプ: OracleVirtualDirectoryAuthenticator

    Oracle Internet Directoryの場合:

    • 名前: OIDAuthenticator

    • タイプ: OracleInternetDirectoryAuthenticator

14. 「OK」をクリックします。

15. 「OVDAuthenticator」または「OIDAuthenticator」をクリックします。

16. 「制御フラグ」を「SUFFICIENT」に設定します。

17. 「保存」をクリックします。

18. 「プロバイダ固有」タブを選択します。

19. 次の情報を入力します。

    • ホスト: idstore.mycompany.com

    • ポート: 389

    • プリンシパル: cn=oamLDAP,cn=Users,dc=us,dc=oracle,dc=com

    • 資格証明: oamLDAPパスワード

    • 資格証明の確認: oamLDAPパスワード

    • ユーザー・ベースDN: cn=Users,dc=mycompany,dc=com

    • すべてのユーザーのフィルタ: (&(uid=*)(objectclass=person))

      名前指定によるユーザー・フィルタ: (&(uid=%u)(objectclass=person))

      ユーザー名属性: uid

    • グループ・ベースDN: cn=Groups,dc=mycompany,dc=com

    • GUID属性: orclguid

20. 「保存」をクリックします。

21. 「変更のアクティブ化」を「チェンジ・センター」でクリックします。

22. 第21.1項「Oracle Identity Managementコンポーネントの起動と停止」の説明に従って、WebLogic管理サーバーとすべての管理対象サーバーを再起動します。

構成の検証

oamadminユーザーとしてOAMコンソールにログインすることによって、構成を検証します。

次の手順に従って、Oracle WebLogic管理コンソールを使用して追加の検証テストを実行できます。

1. http://admin.mycompany.com/consoleで、コンソールにログインします。

2. 「ドメイン」構造メニューで「セキュリティ・レルム」を選択します。

3. myrealmをクリックします。

4. 「ユーザーとグループ」タブをクリックします。

5. 「ユーザー」をクリックします。

   LDAPユーザーが表示されます。

20.1.3 Oracle Access Manager Identity Asserterの作成

この項では、Oracle Access Managerアサーション・プロバイダを設定し、資格証明コレクションの職責をOracle Access Managerに委任できるようにします。

第19.1項「Oracle Identity ManagerとOracle Access Manager 11gの統合」で説明されているとおりにOracle Access ManagerとOracle Identity Managerを統合している場合は、これらの手順を実行する必要はありません。

1. http://admin.mycompany.com/consoleでWebLogic管理コンソールにログインします。

2. 「ドメイン」構造メニューで「セキュリティ・レルム」をクリックします。

3. 「チェンジ・センター」で「ロックして編集」をクリックします。

4. myrealmをクリックします。

5. 「プロバイダ」タブを選択します。

6. 「新規」をクリックします。

7. 次の情報を指定します。

   • 名前: OAMIDAsserter

   • タイプ: OAMIdentityAsserter

8. 「OK」をクリックします。

9. 「OAMIdentityAsserter」をクリックします。

10. 「制御フラグ」を「REQUIRED」に設定します。

11. 「保存」をクリックします。

12. 「ドメイン」構造メニューで「セキュリティ・レルム」をクリックします。

13. myrealmをクリックします。

14. 「プロバイダ」タブを選択します。

15. 「並替え」をクリックします。

16. 右側の矢印を使用して、プロバイダを次の順序に並べ替えます。

    • OAMIDAsserter

    • デフォルトの認証プロバイダ

    • OIM署名認証プロバイダ(存在する場合)

    • OIMAuthenticationProvider(存在する場合)

    • OVDAuthenticatorまたはOIDAuthenticator

    • デフォルトのIDアサーション・プロバイダ

    
    

    注意: Oracle Identity Managerプロバイダは、Oracle Identity Managerが構成されている場合にのみ存在します。

    
    

17. 「OK」をクリックします。

18. 「保存」をクリックします。

19. 「変更のアクティブ化」をクリックします。

20. 第21.1項「Oracle Identity Managementコンポーネントの起動と停止」の説明に従って、WebLogic管理サーバーとすべての管理対象サーバーを再起動します。

20.2 IDM管理者グループのWebLogic管理グループへの割当て

企業では、すべてのユーザー、グループおよびロールがプロビジョニングされる中央のアイデンティティ管理ドメインと、複数のアプリケーション・ドメイン(SOAドメインやWebCenterドメインなど)を配置することが一般的です。これらのアプリケーション・ドメインは、中央のアイデンティティ管理ドメインを使用して認証するように構成されます。

第11.4.5項「Oracle WebLogic Server用のユーザーとグループの作成」では、weblogic_idmというユーザーを作成し、これをIDM管理者グループに割り当てました。このアカウントを使用してWebLogicを管理できるようにするには、IDM管理者グループをWebLogic管理グループのリストに追加する必要があります。この項では、IDM管理者グループをWebLogic管理者のリストに追加する方法を説明します。

1. WebLogic管理サーバー・コンソールにログインします。

2. コンソールの左側のペインで、「セキュリティ・レルム」をクリックします。

3. 「セキュリティ・レルムのサマリー」ページで、「レルム」表のmyrealmをクリックします。

4. myrealmの「設定」ページで、「ロールとポリシー」タブをクリックします。

5. 「レルム・ロール」ページで、「ロール」表の「グローバル・ロール」エントリを開きます。これにより、ロールのエントリが表示されます。「ロール」リンクをクリックして、「グローバル・ロール」ページに移動します。

6. 「グローバル・ロール」ページで、「管理」ロールをクリックして「グローバル・ロールの編集」ページに移動します。

   1. 「グローバル・ロールの編集」ページで、「ロール条件」表の「条件の追加」ボタンをクリックします。

   2. 「述部の選択」ページで、述部のドロップダウン・リストから「グループ」を選択して、「次へ」をクリックします。

   3. 「引数の編集」ページで、グループ引数フィールドにIDM管理者を指定して、「追加」をクリックします。

7. 「終了」をクリックして「グローバル・ロールの編集」ページに戻ります。

8. この時点で、「ロール条件」表には、IDM管理者グループというエントリが表示されています。

9. 「保存」をクリックして、IDM Administrators Groupへの管理ロールの追加を終了します。

10. Webブラウザを使用してWebLogic管理サーバー・コンソールを起動して、これらの変更が正常に加えられたことを確認します。weblogic_idmユーザーの資格証明を使用してログインします。

20.3 boot.propertiesファイルの更新

管理サーバーと管理対象サーバー用のboot.propertiesファイルを、Oracle Internet Directory内に作成したWebLogic adminユーザーの情報によって更新する必要があります。次の手順に従って、boot.propertiesファイルを更新します。

IDMHOST1上の管理サーバーの場合

1. IDMHOST1上で、次のディレクトリに移動します。

   ORACLE_BASE/admin/domainName/aserver/domainName/servers/serverName/security
   

   次に例を示します。

   cd ORACLE_BASE/admin/IDMDomain/aserver/IDMDomain/servers/AdminServer/security
   

2. 既存のboot.propertiesファイルを別の名前に変更します。

3. テキスト・エディタを使用して、boot.propertiesという名前のファイルをsecurityディレクトリ内に作成します。次の行をこのファイルに入力します。

   username=adminUser
   password=adminUserPassword
   

   次に例を示します。

   username=weblogic_idm
   password=Password for weblogic_idm user
   

   
   

   注意: 管理サーバーを起動すると、このファイル内のユーザー名とパスワードのエントリが暗号化されます。 セキュリティ上の理由で、ファイルのエントリが暗号化されていない状態の時間は最小限に抑えてください。このファイルを編集した後、できるだけ早くサーバーを起動して、これらのエントリを暗号化する必要があります。

   
   

サーバーの再起動

第21.1項「Oracle Identity Managementコンポーネントの起動と停止」の説明に従って、WebLogic管理サーバーとすべての管理対象サーバーを再起動します。

20.4 サーバーの再起動

第21.1項「Oracle Identity Managementコンポーネントの起動と停止」の説明に従って、次のサーバーを再起動します。

• OAMHOST1およびOAMHOST2上のOracle Access Managerサーバー

• WEBHOST1およびWEBHOST2上のOracle HTTP Server

20.5 WebGateのインストールと構成

この項では、Webゲートのインストールと構成について説明します。このタスクはOIM11gとOAM10gの統合には必要ありません。

この項の内容は次のとおりです。

• 第20.5.1項「前提条件」

• 第20.5.2項「特別なgccライブラリを使用可能にする方法」

• 第20.5.3項「WEBHOST1およびWEBHOST2へのOracle WebGateのインストール」

• 第20.5.4項「Oracle Access Manager 10g Webゲートへのパッチ適用」

• 第20.5.5項「Webゲートの検証」

• 第20.5.6項「Oracle Access Managerシングル・サインオンのセットアップの検証」

20.5.1 前提条件

Oracle Web Gateをインストールする前に、次のタスクが完了していることを確認してください。

1. 第5章の説明に従って、Oracle Web層のインストールと構成を行います。

2. 第20章の説明に従って、Linuxシステム上でgccライブラリの特別バージョンを使用可能にします。

3. 第12章の説明に従って、Oracle Access Managerが構成されていることを確認します。

20.5.2 特別なgccライブラリを使用可能にする方法

Oracle Web Gateでは、gccライブラリの特別なバージョンをインストールする必要があります(Linuxのみ)。これらのライブラリ・ファイルはLinuxシステム上のどこかに存在する必要があります。Webゲート・インストーラは、インストール時にこれらのライブラリ・ファイルの場所を尋ねてきます。『Oracle Fusion Middleware Oracle Identity Managementインストレーション・ガイド』のサードパーティGCCライブラリのインストール(LinuxおよびSolarisオペレーティング・システムのみ)に関する項の説明に従ってhttp://gcc.gnu.orgからライブラリをダウンロードします。

関連項目: 詳細は、http://www.oracle.com/technetwork/middleware/ias/downloads/10gr3-webgates-integrations-readme-154689.pdfを参照してください。

20.5.3 WEBHOST1およびWEBHOST2へのOracle WebGateのインストール

Oracle WebGateをインストールする前に、管理対象サーバーWLS_OAM1およびWLS_OAM2が起動されていることを確認します。

次の各項の説明に従ってOracle WebGateをインストールします。

20.5.3.1 Oracle WebGate 10g

次のコマンドを発行して、Webゲートを起動します。

Oracle_Access_Managerversion_linux_OHS11g_WebGate -gui

次の手順を実行します。

1. Oracle Access Manager WebゲートのInstallShieldウィザードへようこそ画面で、次を実行します。

   「次へ」をクリックします。

2. 顧客情報画面で、Oracle Access Managerサーバーで使用するusernameとgroupを入力します。これはOracle HTTP Serverをインストールしたユーザーおよびグループと同じにします。usernameとgroupのデフォルト値はnobodyです。たとえば、「oracle/oinstall」と入力します。

   「次へ」をクリックします。

3. Oracle Access Managerサーバーのインストール・ディレクトリを指定します。たとえば、「MW_HOME/oam/webgate」と入力します。

   「次へ」をクリックします。

   
   

   注意: Oracle Access Manager Webゲートが次のディレクトリの下のaccessサブディレクトリにインストールされます。 /u01/app/oracle/product/fmw/oam/webgate

   
   

4. Oracle Access Manager Webゲートが、/u01/app/oracle/product/fmw/oam/webgate/にインストールされます。

   accessディレクトリはインストーラによって自動的に作成されます。

5. GCCランタイム・ライブラリの場所(たとえば、/u01/app/oracle/oam_lib)を指定します。

   「次へ」をクリックします。

6. 「インストールの進行状況」画面が表示されます。インストールのプロセスが完了すると、Webゲートの構成画面が表示されます。

7. 「Webゲート構成。」画面で、トランスポート・セキュリティ・モードを指定するように求められます。

   アクセス・システムのコンポーネント(ポリシー・マネージャ、アクセス・サーバーおよび関連Webゲート)すべてにおけるトランスポート・セキュリティは一致する必要があります。「オープン・モード」、簡易モードまたは証明書モードを選択します。

   簡易モードを選択します。

   「次へ」をクリックします。

8. 次の「Webゲート構成。」画面で、次のWebゲート詳細を指定します。

   • WebゲートID: 第12.6.2項「IDM自動化ツールを使用したOracle Access Managerの構成」で使用されるエージェント名です(例: Webgate_IDM)。

   • Webゲート用パスワード: エージェントを作成するときにパスワードを入力した場合は、それを入力します。それ以外は空白のままにします。

   • アクセス・サーバーID: いずれかのOracle Access Managerサーバーの名前です(例: WLS_OAM1)。

   • ホスト名: いずれかのOracle Access Managerサーバーのホスト名を入力します(例: IDMHOST1)。

   • グローバル・アクセス・プロトコル・パスフレーズ: OAMサーバーが簡易セキュリティ・トランスポート・プロトコルを使用している場合、これらのサーバーとの対話に使用するグローバル・パスフレーズを指定します。

   • アクセス・サーバーがリスニングするポート番号: ProxyPort

   
   

   注意: Oracle Access Managerサーバーが使用しているポートを探すには、次のoamconsoleにログインします。 http://admin.mycompany.com/oamconsole 次の手順を実行します。 「システム構成」タブを選択します。 「サーバー・インスタンス」を選択します。 インスタンス(WLS_OAM1)を選択して、ツール・バーで「表示」アイコンをクリックします。 プロキシ・エントリはホストおよびポート情報を持ちます。

   
   

9. 「Webサーバーの構成」画面で、「はい」をクリックすると、Webサーバーが自動的に更新されます。その後、「次へ」をクリックします。

10. 次の「Webサーバーの構成」画面で、httpd.confファイルが格納されているディレクトリのフルパスを指定します。httpd.confファイルは、次のディレクトリにあります。

    /u01/app/oracle/admin/ohsInstance/config/OHS/ohsComponentName

    次に例を示します。

    /u01/app/oracle/admin/ohs_instance2/config/OHS/ohs2/httpd.conf

    「次へ」をクリックします。

11. 次の「Webサーバーの構成」画面で、Webサーバー構成がWebゲート用に変更されたことを示すメッセージが表示されます。

    「次へ」をクリックします。

12. 「Webサーバーの構成」画面に次のメッセージが表示されます。

    If the web server is setup in SSL mode, then httpd.conf file needs to be configured with the SSL related parameters. To manually tune your SSL configuration, please follow the instructions that come up.
    

    「次へ」をクリックします。

13. 次の「Webサーバーの構成」画面に、残りの製品設定とWebサーバー構成に関する情報のドキュメントがある場所が表示されます。

    「いいえ」を選択して、「次へ」をクリックします。

14. 最後の「Webサーバーの構成」画面で、手動でブラウザを起動してHTMLドキュメントを開きWebサーバーの構成方法を確認することを求めるメッセージが表示されます。

    「次へ」をクリックします。

15. Oracle COREid Readme画面が表示されます。画面上の情報を確認してから、「次へ」をクリックします。

16. インストールが正常に実行されたことを示すメッセージがインストールの詳細とともに表示されます。

    「終了」をクリックします。

17. MW_HOME/oam/webgate/access/oblix/libディレクトリのファイルObAccessClient.xmlを、第12.6.2項「IDM自動化ツールを使用したOracle Access Managerの構成」で生成されたファイルに置き換えます。

18. 第21章「Oracle Identity Managementコンポーネントの起動と停止」の説明に従って、Webサーバーを再起動します。

19. WEBHOST2に対して手順を繰り返します。

20.5.3.2 ログアウト・ページのOHSサーバーへのコピー

アプリケーションでログアウトを可能にするには、ログアウト・ページを作成する必要があります。デフォルト・ページが用意されていますが、それを編集してWEBHOST1およびWEBHOST2上のWebゲートのインストールにコピーする必要があります。

1. ファイルlogout.htmlを、IDMHOST1のディレクトリDOMAIN_HOME/output/Webgate_IDMから、WEBHOST1およびWEBHOST2のMW_HOME/oam/webgate/access/oamssoにコピーします。

2. これでWebサーバー上に独自のログアウト・ページが作成されました。デフォルトのエントリは削除する必要があります。

   次のディレクトリにあるファイルhttpd.confを編集します。

   ORACLE_INSTANCE/config/OHS/component name/

   行の先頭に#を付けて、次の行をコメント・アウトします。編集された行は次のようになります。

   #*******Default Login page alias***
   Alias /oamsso "/u01/app/oracle/product/fmw/webgate/access/oamsso"
    
   #<LocationMatch "/oamsso/*">
   #Satisfy any
   #</LocationMatch>
   #**********************************
   

   ファイルを保存します。

3. 第21章「Oracle Identity Managementコンポーネントの起動と停止」の説明に従って、Oracle HTTP Serverを再起動します。

20.5.4 Oracle Access Manager 10g Webゲートへのパッチの適用

このソフトウェアは、第20.5.3項「WEBHOST1およびWEBHOST2へのOracle WebGateのインストール」の説明に従ってインストールされるまで、パッチを適用することはできません。

次の手順に従って、環境内のWebゲートにパッチを適用します。

1. Oracle Access Manager OHS11g Webゲートのパッチ12816881をMy Oracle Support(https://support.oracle.com)からダウンロードします。パッチ名は、p12816881_10143_Linux-x86-64.zipです。

2. 第21.1項「Oracle Identity Managementコンポーネントの起動と停止」の手順に従い、WEBHOST1およびWEBHOST2上のOracle HTTP Server 11gインスタンスを停止します。

3. p12816881_10143_Linux-x86-64.zipファイルを一時的な場所に解凍します。これにより2つのディレクトリが作成されます。32ビットLinuxの場合、ディレクトリは次のとおりです。

   • Oracle_Access_Manager10_1_4_3_0_BPxx_Patch_linux_OHS11g_WebGate_binary_parameter

   • Oracle_Access_Manager10_1_4_3_0_BPxx_Patch_linux_OHS11g_WebGate_message_en-us

   64ビットLinuxの場合、ディレクトリは次のとおりです。

   • Oracle_Access_Manager10_1_4_3_0_BP10_Patch_linux64_OHS11g_WebGate_binary_parameter

   • Oracle_Access_Manager10_1_4_3_0_BP10_Patch_linux64_OHS11g_WebGate_message_en-us

4. ディレクトリをPatchExtractLocation/Oracle_Access_Manager10_1_4_3_0_BPxx_Patch_linux_OHS11g_WebGate_binary_parameterに変更します。

5. パッチはベース・バージョンに適用する必要があるため、既存のパッチはすべてアンインストールします。

   既存のパッチの存在を検出するには、次のようにしてバージョン番号を調べます。

   1. ファイルwebgate-install/oblix/config/np1014_wg.txtを開きます。

   2. Versionフィールドを確認します。

   Versionの値がベース・バージョンである10.1.4.3.0 M11の場合、パッチは含まれていません。

   Versionの値がベース・バージョン以外の場合(パッチが含まれている場合)、次のようにしてパッチをアンインストールします。

   1. Webゲート・インストール内のpatchinstスクリプトがある場所に移動します。次に例を示します。

      cd /u01/app/oracle/product/fmw/oam/webgate/access/oblix/patch/10143005BP05/Oracle_Access_Manager10_1_4_3_0_BP05_Patch_linux64_OHS11g_WebGate_binary_parameter/
      

   2. 次のコマンドを実行します。

      ./patchinst -u
      

   3. 入力を求められたら、Webゲート・インストール領域を指定します。

6. 次のように入力してパッチ・インストール・ツールを起動します。

   ./patchinst -i InstallDir/access
   

   ここでInstallDirは、Oracle Access Managerサーバーのインストール場所へのパスです。次に例を示します。

   /u01/app/oracle/product/fmw/oam/webgate/

   これにより、Oracle Access ManagerとOracle Identity Managerの統合に必要なパッチがOracle Access Manager 10.1.4.3.0 Webゲート・インスタンスに適用されます。必要とされる正確なパッチ・レベルは、リリース・ノートを参照してください。

7. 環境内のすべてのWebゲート・インスタンスにこのパッチを適用してください。

8. 第21.1項「Oracle Identity Managementコンポーネントの起動と停止」の説明に従い、WEBHOST1およびWEBHOST2上のOracle HTTP Serverインスタンスを起動します。

20.5.5 Webゲートの検証

次のURLにアクセスして、Webゲートが正しく機能していることをテストできます。

http://admin.mycompany.com/oamconsole

これでOracle Access Managerのログイン・ページが表示されます。OAM管理者ユーザー名(oamadminなど)とパスワードを入力し、「ログイン」をクリックします。すると、OAMコンソールが表示されます。

20.5.6 Oracle Access Managerシングル・サインオンのセットアップの検証

セットアップを検証するには、Webブラウザを開いて次のURLにアクセスします。

http://admin.mycompany.com/console

http://admin.mycompany.com/em

Oracle Access Managerのシングル・サインオンページが表示されます。weblogic_idmユーザーの資格証明を入力してログインします。